メルカド・ビットコイン、月曜から段階的再開へ――4,600万ドル超のハッキング被害は会社資金で補填、出金・取引は独立検査後
ブラジル最大の暗号資産取引所メルカド・ビットコインは、11月9日（月曜日）から段階的な再開を始めます。最初は残高や保有資産の「閲覧だけ」で、送金・出金・取引は独立したセキュリティ検査を経て後の段階で戻ります。被害額は取引所自身の約3,800万ドルから外部分析の約4,900万ドルまで幅があり確定していませんが、取引所は会社資金で補填すると約束し、すでに1,500万ドル超が凍結されたとしています。閲覧の再開は復旧の始まりであり、出金・取引の再開や補填の実行はこれから確認すべき点です。
結論――「再開」は始まるが、「使えるようになる」のはまだ先
メルカド・ビットコインはどうなったのか。結論から言えば、サービスが全面的に戻るのではない。2026年11月9日（月曜日）から始まるのは、顧客がウェブサイトで残高・明細・保有資産・投資内容を確認できる「閲覧だけ」の段階である。送金・出金・取引は、その後の段階で、独立したセキュリティ検査を条件に再開される。つまり11月9日は「終わり」ではなく、復旧の工程表の最初の区切りにすぎない。
この区切りが重要なのは、被害から1週間足らずで「何も分からないまま待たされる」状態から、「自分の資産が記録上どう残っているかを確認できる」状態へ変わるからである。一方で、閲覧できることと、資産を動かせることは別である。閲覧段階では、顧客は口座の数字を見ることはできても、引き出したり、売買したりはできない。だから利用者にとっての本当の区切りは、閲覧の開始日ではなく、出金・取引が再開される日になる。その日はまだ公表されていない。
取引所側の約束は2つある。第1に、被害を受けた資産は会社資金で補填する。第2に、トレーディングデスクが国内外の市場で必要な買い戻しを始める準備をしている。さらに、すでに1,500万ドル超の盗難資金が業界の協力で凍結されたとしている。ただし、この3つの要素はそれぞれ意味が違う。凍結は資金の移動を止める措置であり、自動的に顧客へ戻るわけではない。買い戻しは、失われた資産と同じものを市場で買い直す作業であり、価格変動や流動性の影響を受ける。補填の約束は、最終的に顧客の損失を会社が負担するという方針であり、実行の完了を示すものではない。この3つを混同すると、復旧が実際より進んでいるように見えてしまう。
時系列――11月2日の侵害から11月9日の閲覧再開まで
流れを時系列で整理すると、今回の再開が「急な全面復旧」ではなく、1週間かけて段階を踏んできた結果であることが分かる。2026年11月2日（月曜日）の早朝、メルカド・ビットコインは自社のシステムの1つでセキュリティ侵害を検知し、予防措置として入金と出金を一時停止した。取引所はポルトガル語の声明で「顧客の資産は保証される」「残高は各口座に記録されたままである」と説明し、データの漏洩はないとした。ただし、攻撃者がどう侵入したかについては、この時点でも後の報道でも、確定的な説明は公表されていない。
攻撃の手口として報じられているのは、ホットウォレットと顧客の入金用アドレスから、通常の送金と同じ形で資金が移されたという点である。ホットウォレットとは、取引処理のためにインターネットにつながった状態で管理されるウォレットで、利便性が高い反面、攻撃の対象になりやすい。コールドウォレットはオフラインで管理され、日常の出金には使われにくいが、攻撃を受けにくい。メルカド・ビットコインは、コールドウォレットと顧客記録は保護されたとしているが、ホットウォレット側の管理や署名の権限がどう破られたかは未解明である。ここが未解明のままでは、再開後の安全性を外部から完全に確認することはできない。
11月3日ごろの更新では、取引所は関与した資産の価値を約3,800万ドルとし、テザー、サークル、パクソス、BRL1、チェイナリシスなどとの協力で約1,100万ドルをすでに凍結したと説明した。テザーのパオロ・アルドイーノ最高経営責任者は、事件に関連する450万ドル超のUSDTを凍結したとXで述べた。凍結は、特定のトークンの移動を発行体などが止める措置であり、被害額の全体像が変わるわけではない。
そして11月4日、Cointelegraphへの声明で段階的再開が公表された。顧客はまずウェブサイトで残高・明細・保有資産・投資内容を見られるようになり、送金・出金・取引は独立したセキュリティ検査を経て後の段階で戻る。凍結額も1,500万ドル超へ増えたとされた。つまり、凍結額は時間とともに増えているが、それは回収が進んでいる証拠であると同時に、最初の公表時点では全体像がまだ固まっていなかった証拠でもある。
数字の突き合わせ――被害額はなぜ3,800万ドルから4,900万ドルまで違うのか
この事件で最も注意が必要なのは、被害額の数字が1つに定まらないことである。取引所自身は約3,800万ドルとしている。セキュリティ企業のハイパーネイティブは少なくとも10のブロックチェーンで4,000万ドル超の不審な送金を指摘した。アーカムは少なくとも4,600万ドル、チェイナリシスは約4,900万ドルとしている。Cointelegraphの段階的再開の記事は「4,600万ドル超」と書いている。同じ事件なのに、最大で約1,100万ドル、割合にして約3割の開きがある。
この開きを「どれかが間違っている」と片付けるのは早い。集計の対象が違う可能性があるからである。たとえば、取引所の数字が「自社が確認した関与資産」だけを指し、外部分析が「不審な送金全体」を指している場合、数字は当然ずれる。凍結額を含めるかどうか、価格をどの時点で換算するか、どのチェーンまで含めるかでも変わる。さらに、後の更新では取引所の数字として約3,630万ドル、凍結額として約1,290万ドルという別の組み合わせも報じられている。これらが同じ基準の更新なのか、別の切り口の数字なのかは、報道だけでは断定できない。
だからこの記事では、被害額を1つの数字に丸めない。読者が確認すべきは「確定額」ではなく「幅とその理由」である。幅が大きいこと自体が、調査がまだ途中で、最終的な損失額も回収額も固まっていないことを示している。取引所が「顧客は損失を負わない」と約束している場合でも、その約束の裏付けになる最終額が未確定である点は変わらない。
| 集計元 | 被害額の目安 | 読み方 |
|---|---|---|
| メルカド・ビットコイン自身 | 約3,800万ドル | 自社が確認した関与資産としての公表値 |
| ハイパーネイティブ | 4,000万ドル超 | 10チェーン以上の不審な送金を指摘 |
| アーカム | 少なくとも4,600万ドル | オンチェーン追跡による下限の見積もり |
| チェイナリシス | 約4,900万ドル | 外部分析の中で最も大きい見積もり |
凍結額についても同じ注意が必要である。11月3日ごろは約1,100万ドル、後の報道では約1,290万ドル、段階的再開の公表時には1,500万ドル超と、時間とともに増えている。これは凍結作業が進んだことを示す一方で、凍結された資金がそのまま顧客へ返るわけではないことも忘れてはならない。凍結は「これ以上動かさない」ための措置であり、返還には所有権の確認や法的手続き、取引所側の補填作業が別に必要になる場合がある。したがって「1,500万ドル凍結されたから、残りはその分だけ減った」と単純に引くことはできない。
「凍結」「買い戻し」「補填」を噛み砕く――3つの言葉の違い
取引所の発表を読むとき、似た言葉を区別することが大切である。まず「凍結」は、盗まれたとされる資金の移動を止めることである。ステーブルコインの発行体が特定のトークンを凍結すれば、そのトークンは送れなくなる。しかし、凍結されたトークンが自動的に元の持ち主に戻るわけではない。誰のものか、どう返すかを決める作業が別に残る。
次に「買い戻し」は、失われた資産と同じ資産を市場で買い直すことである。メルカド・ビットコインは、トレーディングデスクが国内外の市場で必要な買い戻しを始める準備をしていると述べた。これは、顧客の口座残高を元の資産構成に戻すための作業と読める。ただし、買い戻しには価格変動のリスクがある。事件後に価格が動けば、同じ数量を買い戻すための費用も変わる。流動性が薄い資産では、買い戻し自体が価格を動かす可能性もある。だから買い戻しの「準備」と「完了」は別の段階である。
最後に「補填」は、会社資金で顧客の損失を負担するという方針である。メルカド・ビットコインは、会社資金で被害資産を補填すると約束した。バイナンスも10月29日の約63億ドル規模のハッキング後に「利用者ではなくバイナンスが財務的影響を吸収する」と述べ、約95％の補充を主張した。両社の約束は方向としては同じだが、外部から検証できる範囲は限られる。取引所は顧客に対して帳簿のすべてを公開する義務を負っているわけではなく、補填の原資や進捗を細かく示すかどうかは取引所次第である。だから約束の有無と、約束の実行完了は分けて確認する必要がある。
利用者の立場で言い換えると、こうなる。凍結は「逃げたお金を止めた」段階、買い戻しは「同じものを市場で買い直す」段階、補填は「足りない分を会社が負担する」という最終的な責任の所在である。3つがそろって初めて、顧客の口座が事件前の状態に近づく。どれか1つだけ進んでも、復旧は完了しない。
盗難資金の移動を止める。返還そのものではない
同じ資産を市場で買い直す。価格変動の影響を受ける
不足分を会社資金で負担する。実行の確認が別に必要
なぜ「閲覧だけ」を先にするのか――段階的再開の意味と限界
段階的再開は、バイナンスの出金再開でも見られた手法である。当サイトの過去記事でも取り上げたように、バイナンスは11月1日に15ネットワーク、11月3日に9ネットワークと、確認が済んだ資産から順に出金を再開した。メルカド・ビットコインの場合は、さらに慎重で、最初は出金そのものではなく閲覧だけである。これは、システムの安全性がまだ全面的に確認できていないことを、取引所自身が認めているとも読める。
閲覧だけを先にする利点は2つある。第1に、顧客は自分の残高が記録上どうなっているかを確認でき、不安の一部が解消される。第2に、取引所は出金や取引という「資金が動く機能」を止めたまま、表示系のシステムだけを先に点検できる。資金が動かなければ、新たな不正送金のリスクはその分だけ抑えられる。逆に、限界もはっきりしている。閲覧できても、顧客は資産を自分の管理下へ移すことも、価格変動に備えて売ることもできない。市場が大きく動く局面では、閲覧だけの状態が続くこと自体が機会損失やリスクになる。
さらに、閲覧段階の数字が「最終的に戻る数字」と同じとは限らない点にも注意が必要である。取引所は残高は記録されたままであると説明しているが、補填や買い戻しが完了するまでは、表示される残高と、実際に引き出せる資産の対応関係は外部からは確認できない。だから11月9日に閲覧が始まっても、確認すべきは「数字が見えたかどうか」だけではなく、「その数字がそのまま出金できるのか」「補填分がいつ反映されるのか」という次の問いである。
資金面では、テザーからの2,000万ドルの投資が「強い現金ポジション」の根拠として挙げられている。これは事業拡大のための投資であり、被害の補填専用の資金とは説明されていない。投資があることと、補填が完了することは別である。投資が流動性の安心材料になる一方で、補填の原資がどこまで確保されているかは、公表情報だけでは断定できない。
ビットマートとの接続疑惑――同じ週に起きたもう1つの事件
メルカド・ビットコインの事件は、単独で終わらなかった。Cointelegraphによると、暗号資産取引所ビットマートは、11月2日（月曜日）のハッキングを確認し、創業者のシェルドン・シャ氏が「セキュリティチームは深刻な人員不足にある」と述べた。ビットマートは7月に取引終了と2027年1月の事業停止を発表しており、すでに利用者から出金遅延や口座凍結の報告も出ていた。リストラのさなかでセキュリティ人員の維持が難しくなっていたという説明である。
金額としては、ビットマートの事件は小さい。ブロックチェーン分析企業のビットクエリは、ビットマートに関連するウォレットから3つのブロックチェーンで約39万1,000ドルの不審な送金を特定した。創業者も関与額は小さいと述べた。ただし、注目すべきは金額ではなく接続の可能性である。ビットクエリは、その資金がメルカド・ビットコインの4,600万ドル超のハッキングにも関与したとされるウォレットへつながったとしている。つまり、2つの事件が同じ攻撃者や同じ資金洗浄の経路につながっている可能性が指摘されているのである。
この接続はまだ「可能性」の段階である。ビットマート側も「予備的な疑い」と述べており、確定した犯行声明や捜査当局の断定は報じられていない。ウォレットが同じであることと、攻撃者が同じであることは、必ずしも同じ意味ではない。資金が複数の事件を経由することはありうるし、分析の段階では誤認の可能性も残る。だからこの記事では、接続を事実として断定せず、「指摘されている接続」として扱う。
それでも、接続の指摘が重要なのは、取引所の安全問題が「1社の管理ミス」だけでは説明しにくくなっているからである。同じ週には、バイナンスの約63億ドル規模のハッキング、欧州事業体の約1億600万ドル規模の流出疑惑、メルカド・ビットコイン、ビットマートと、規模も地域も違う事件が続いた。さらに、トロン、テザー、TRMラボが2024年9月に立ち上げた犯罪対策ユニット「T3」が、8月下旬に解散していたことも報じられた。T3は2025年5月時点で4億5,000万ドル超の資産凍結に協力したとしていたが、対応の遅さや連携の悪さが課題だったとされる。つまり、攻撃が増える一方で、業界横断の対応体制はむしろ弱まっていた可能性がある。
過去記事への接続として、当サイトではすでにバイナンスの出金第2段階や、欧州事業体の流出疑惑、バイナンスの資金フロー反転を取り上げている。メルカド・ビットコインの再開は、その流れの次の章にあたる。バイナンスでは出金が再開され、資金フローがプラスへ反転した一方で、メルカド・ビットコインではまだ出金が止まったままである。同じ「ハッキング後の復旧」でも、規模や体制によって復旧の速度が大きく違うことが分かる。
市場への影響――デスクの観測値で読むときの注意点
メルカド・ビットコインの事件が、ビットコイン全体の価格を直接動かしたかどうかは、慎重に見る必要がある。当サイトのスナップショット（2026年11月5日01:01 JST）では、ビットコインは80,441ドル、前日比＋3.56％、Hyperliquidの建玉は約33億3,000万ドル、イーサは2,432.3ドル、前日比＋5.78％、恐怖・貪欲指数は34で「Fear（恐怖）」だった。これらの数字は、中間選挙後の反発と整合的であり、メルカド・ビットコイン単独の事件で説明できるものではない。むしろ、市場全体が選挙結果や米株の動きに反応する中で、取引所の事件は「安心材料が増えたわけではない」という背景として残っていると読むのが妥当である。
資金フローの面でも、メルカド・ビットコインの4,000万〜4,900万ドル規模は、バイナンスの63億ドルや、米ビットコインETFの3営業日で11億6,000万ドルの流出と比べれば小さい。だから、メルカド事件だけを取り出して「市場が売られた」や「市場が買われた」と結論付けることはできない。逆に、事件が小さいからといって無視できるわけでもない。ブラジル最大の取引所で出金が1週間以上止まることは、その国の利用者にとっては大きな影響であり、取引所の信頼という観点では、金額以上の意味を持つ。
デスクの観測値で確認すべきポイントは、価格そのものよりも「建玉と資金調達率が過熱していないか」「恐怖指数が極端な水準に振れていないか」である。スナップショット時点では、ビットコインの資金調達率はプラス圏だが、恐怖指数は34と恐怖寄りで、過熱した楽観とは言えない。この状態では、取引所の事件が新たな売り材料になれば、価格が下方向に振れやすい地合いとも読めるし、逆に、再開が順調に進めば不安が和らぐ方向にも働きうる。どちらか一方だけを断定せず、両方向の可能性を残して見ることが大切である。
関連ページとして、記事一覧で価格・建玉・資金調達率の推移を、記事一覧で恐怖・貪欲指数などの市場心理を、取引所一覧でデリバティブ市場の厚みを確認できる。過去記事では、バイナンス出金の第2段階、欧州事業体の流出疑惑、バイナンスの資金フロー反転、中間選挙後のビットコイン反発が、この事件の背景としてつながる。
今後の確認ポイント――11月9日以降に見るべきチェックリスト
11月9日以降、読者が確認すべき項目をチェックリストにまとめる。1つでも欠ければ、復旧はまだ途中である。
- □ 11月9日に、実際にウェブサイトで残高・明細・保有資産が閲覧できたか。閲覧できない顧客や、表示がおかしい事例が出ていないか
- □ 送金・出金・取引の次の段階の日程が、独立検査の結果とともに公表されたか。日程が延期された場合、その理由が説明されたか
- □ 被害額の確定値が公表されたか。取引所の数字と外部分析の数字の差が、集計基準の説明とともに解消されたか
- □ 凍結額が1,500万ドル超からどう増えたか、そして凍結から返還・補填へ進んだ事例が具体的に示されたか
- □ 買い戻しが実際に始まったか、買い戻しの対象資産と進捗が公表されたか
- □ 侵入経路の確定説明が出たか。ホットウォレットの管理や署名権限の改善策が具体的に示されたか
- □ ビットマートとの接続疑惑について、捜査や分析の続報が出たか。接続が否定されたのか、裏付けが強まったのか
- □ ブラジル当局や業界団体からの公式見解、顧客補償の手続きに関する案内が出たか
一般論として、取引所のハッキング後に「閲覧再開→出金再開→全面復旧」という段階を踏むことは珍しくない。バイナンスの例では、出金再開後も流出ペースや資金フローの数字が媒体ごとに異なり、復旧の評価には時間がかかった。メルカド・ビットコインでも、閲覧再開が順調でも、出金再開が遅れれば利用者の不満は残るし、逆に、出金再開が早すぎて再び問題が起きれば、信頼はさらに損なわれる。速さだけが評価基準ではない。安全性の確認と、数字の透明性がそろって初めて、復旧と呼べる。
最後に、利用者側の備えとして、取引所に資産を置く場合の一般的な注意点を挙げておく。取引所の口座残高は、自己管理のウォレットとは別物であり、取引所のシステムや管理体制に依存する。今回のように出金が止まれば、価格変動があっても資産を動かせない期間が生じる。だから、長期保有分と取引分を分けたり、取引所の発表だけでなく、凍結・補填の進捗を複数の報道で確認したりすることが、リスクを下げる一助になる。ただし、自己管理にも秘密鍵の紛失や操作ミスのリスクがあり、どちらか一方が絶対に安全というわけではない。自分の資産規模や操作の習熟度に合わせて、両方のリスクを比較して選ぶことが大切である。
よくある質問
Q. メルカド・ビットコインは11月9日に何ができるようになりますか？
ウェブサイトで残高・明細・保有資産・投資内容を確認できる「閲覧だけ」の段階が始まります。送金・出金・取引は後の段階まで止まったままで、その日程は独立したセキュリティ検査を条件に決まります。閲覧再開と全面復旧は別です。
Q. 被害額はなぜ3,800万ドルから4,900万ドルまで違うのですか？
集計元と基準が違うためです。取引所自身は約3,800万ドル、ハイパーネイティブは4,000万ドル超、アーカムは少なくとも4,600万ドル、チェイナリシスは約4,900万ドルとしています。凍結額を含めるか、どのチェーンまで含めるか、価格をいつ換算するかでも変わります。確定額はまだ公表されていません。
Q. 「凍結された」と「返ってきた」は同じですか？
違います。凍結は資金の移動を止める措置で、自動的に顧客へ戻るわけではありません。返還には所有権の確認や手続きが別に必要です。取引所の補填の約束は、不足分を会社資金で負担する方針であり、実行の完了とは分けて確認する必要があります。
Q. ビットマートの事件と関係があるのですか？
接続の可能性が指摘されています。ビットクエリは、ビットマートに関連する約39万1,000ドルの不審な送金が、メルカド事件にも関与したとされるウォレットへつながったとしています。ただしビットマート側も予備的な疑いとしており、確定した断定ではありません。
Q. 今後、何を確認すればよいですか？
11月9日の閲覧が実際にできたか、出金・取引の次の段階の日程と独立検査の結果、被害額の確定値、凍結から返還・補填への進捗、買い戻しの開始、侵入経路の確定説明、ビットマートとの接続疑惑の続報です。これらがそろうまで復旧は途中です。
取引所のニュースは、自分の口座の備え直しの合図
出金停止や障害のニュースが出るたびに慌てなくて済むよう、口座は1つに寄せないのが備えになります。第一推奨のBitunixを先頭に、代替としてMEXCとBYDFiを、移行先・2つ目の口座の候補として置きます。
- Bitunix（第一推奨）：公式の禁止地域リストに日本の記載なし。公式サイトに日本語表示あり（日本語サポートは未確認）
- MEXC・BYDFi（代替）：当サイトで手順を案内している2社
招待コード：第一推奨 Bitunix bQ2X7p（登録画面で入力できます） ／ MEXC mexc-2pH8b
手続きで困ったときはよくある質問と手続きガイドの記事一覧から引けます。比べ方はトップページの比較表にあります。
この枠のボタンは運営者の紹介リンクです。経由して登録すると、運営者に紹介報酬が支払われることがあります。掲載の取引所はいずれも日本の金融庁に登録された暗号資産交換業者ではありません。暗号資産の取引には価格変動により損失が生じるリスクがあります。Bitunixは当サイトの第一推奨ですが、口座開設は義務ではありません。これは投資助言や特定銘柄の売買推奨ではありません。利用の可否・条件・最新の手数料は、必ず各社の公式サイトと利用規約で自身で確認してください。
出典
- Cointelegraph「Mercado Bitcoin says phased reopening to begin Monday, will cover losses」
- Decrypt「Brazil's Biggest Bitcoin Exchange Says It Will Refund Users After a $40 Million Hack」
- Cointelegraph「BitMart founder says security team ‘severely understaffed’ after new hack」
本記事は、旧サイト「パープス・デスク」に2026-11-05に掲載したニュース記事を、取引所ヘルプ索引の形式に合わせて移行したものです。内容は掲載当時の公開報道をもとに当サイトが要約・整理したもので、価格の予測は行いません。ページ内の備え枠では、Bitunixを当サイトの第一推奨として案内します。状況はその後変わっていることがあるため、最新の情報は出典と公式情報で確認してください。